POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL 070-381 13 00 FAX 070-381 13 01 E-MAIL info@cbpweb.nl INTERNET www.cbpweb.nl AAN Gemeente Utrecht DATUM 9 oktober 2002 Dienst Maatschappelijke Ontwikkeling CONTACTPERSOON UW BRIEF VAN UW KENMERK ONDERWERP Verklaring omtrent rechtmatigheid U heeft op 24 mei 2002 een melding gedaan bij het College bescherming persoonsgegevens (CBP) van een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens (uitkeringsverstrekking ingevolge Abw, IOAW, IOAZ, WIK en WVG; onderdeel WTP). Naar aanleiding van deze melding heeft het CBP een voorafgaand onderzoek als bedoeld in artikel 31 van de Wet bescherming persoonsgegevens (WBP) ingesteld. Het door het CBP ingestelde vooronderzoek heeft geleid tot het besluit een nader onderzoek als bedoeld in artikel 32, derde lid, WBP in te stellen. Uw melding is overeenkomstig artikel 3:12 Algemene wet bestuursrecht ter inzage gelegd bij het CBP. Van deze terinzagelegging is kennis gegeven in de Staatscourant. Naar aanleiding daarvan zijn geen reacties ontvangen. In het kader van het nader onderzoek is u bij brief van 20 juni 2002 een aantal vragen gesteld, met het verzoek deze binnen vier weken schriftelijk te beantwoorden. Uw antwoorden werden op 5 augustus jl. door het CBP ontvangen. Vervolgens is er een aantal malen telefonisch contact geweest over met name het onderwerp verantwoordelijke in de zin van de WBP voor wat betreft het strafrechtelijke traject. Zowel medewerkers van de gemeente Utrecht als van het CBP hebben over dit onderwerp gesproken met het Openbaar Ministerie (Parket generaal). Op donderdag 5 september 2002 heeft er een gesprek plaatsgevonden tussen het CBP en de gemeente Utrecht waarin dit onderwerp en een aantal andere punten betreffende de melding zijn besproken. Naar aanleiding van dit gesprek heeft de gemeente Utrecht besloten een tweede melding te doen voor wat betreft de gegevensverwerking Strafrechtelijk onderzoek door Sociale Recherche welke onder meldingsnummer m1062177 in het meldingenregister is opgenomen. Het CBP behandelt beide meldingen samen in één voorafgaand onderzoek. De verklaring omtrent rechtmatigheid heeft dan ook betrekking op beide meldingen. Het CBP neemt als uitgangspunt voor zijn beoordeling de door u met de melding voor voorafgaand onderzoek verstrekte informatie, eerder genoemde correspondentie en het op 5 september jl. gevoerde gesprek. Op basis daarvan komt het CBP tot de conclusie dat de door u gemelde gegevensverwerkingen verwerkingen zijn als bedoeld in artikel 31, eerste lid, sub b, WBP. U bent immers voornemens gegevens vast te leggen op grond van eigen waarneming zonder de betrokkene daarvan op de hoogte te stellen. Het voorafgaand onderzoek heeft betrekking op het geheel van de door u gemelde verwerkingen van persoonsgegevens. BIJLAGEN BLAD 1
Bij het beoordelen van de rechtmatigheid van deze verwerkingen betrekt het CBP dan ook alle aspecten van de twee meldingen. Het verwerken van gegevens zonder de betrokkene daarvan op de hoogte te stellen kan grote consequenties voor de betrokkene hebben. Zwaarwegend in het oordeel van het CBP omtrent de rechtmatigheid is daarom met name of het voornemen van de verantwoordelijke om de gegevensverwerking op een bepaalde manier te organiseren voldoende passende en specifieke waarborgen biedt voor een zorgvuldige gegevensverwerking. Het CBP heeft naar aanleiding van de antwoorden op de gestelde vragen de volgende opmerkingen. De melding De melding behoeft op een aantal punten aanpassing: Melding 1: administratiefrechtelijk (m1016542) U schrijft dat het doel van de verwerking tweeledig is: - Verwerken van persoonsgegevens ten behoeve van het bepalen van het recht op en de hoogte van een uitkering volgens de Algemene bijstandswet (Abw), de Wet Inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte werknemers (IOAW), de Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ), de Wet inkomensvoorziening kunstenaars (WIK) en de Wet voorzieningen gehandicapten (WVG); - WTP (Waarneming Ter Plaatse): vaststellen rechtmatigheid verstrekte uitkering (anders dan vanuit heronderzoek). De doelomschrijving wekt de indruk dat de melding betrekking heeft op het geheel van verwerkingen dat plaatsvindt bij de uitvoering van de Abw, IOAW, IOAZ, WIK en WVG. Uit het telefoongesprek dat één van de medewerkers van het CBP met u heeft gevoerd kwam naar voren dat de melding slechts betrekking heeft op de verwerking van persoonsgegevens in het kader van WTP. Het CBP is beveelt aan om de doelomschrijving in de melding op dit punt aan te scherpen. Melding 2: strafrechtelijk (m1062177) - Het CBP is van oordeel dat Utrecht geen strafrechtelijke gegevens voor derden verwerkt. Ze verwerkt strafrechtelijke gegevens immers op grond van de eigen taak. De strafrechtelijke gegevens worden daarom primair verwerkt ten behoeve van eigen werkzaamheden ter uitvoering van de eigen taak. Gelet hierop kan niet worden gezegd dat B&W voornemens is om strafrechtelijke gegevens te verwerken ten behoeve van derden in de zin van artikel 31, eerste lid, sub c, WBP welke bepaling met name ziet op de gevallen bedoeld in artikel 22, vierde lid, sub c, WBP. De verstrekking van strafrechtelijke gegevens aan het Openbaar Ministerie (OM) vloeit voort uit het doel van de verwerking, de uitvoering van de bijstandswet. Het CBP beveelt aan de melding op dit punt aan te passen. - Het CBP verzoekt u in de melding nader te specificeren wie toegang heeft tot welke gegevens. Het betreft hier het onderdeel beveiliging. Het CBP heeft in het gesprek op 5 september 2002 aangegeven dat het hierbij te hanteren uitgangspunt is dat alleen diegenen die uit hoofde van hun functie de gegevens nodig hebben toegang mogen hebben tot de BLAD 2
gegevens. Bovendien mogen gegevens niet gebruikt worden voor een doel dat onverenigbaar is met het doel van verzameling. In het gesprek is toegelicht dat hieruit niet noodzakelijkerwijs voortvloeit dat de verantwoordelijke en zoals de melding stelt al het personeel dat onder leiding van de verantwoordelijke valt toegang heeft tot alle persoonsgegevens. Verantwoordelijke in de zin van de WBP Gedurende het nader onderzoek bleek er discussie te bestaan over de vraag wie bij een strafrechtelijk onderzoek als verantwoordelijke in de zin van de WBP is aan te merken. De gemeente Utrecht stelde zich op het standpunt dat niet B&W verantwoordelijke in de zin van de WBP zijn voor de gegevensverwerking in het strafrechtelijk traject, maar het OM. Onderstaand wordt uiteengezet waarom B&W als verantwoordelijke in de zin van de WBP aangemerkt dienen te worden. In de WBP wordt de verantwoordelijke als volgt gedefinieerd: de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of te samen met anderen het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Bij de beantwoording van de vraag wie de verantwoordelijke is, dient enerzijds te worden uitgegaan van de formeel-juridische bevoegdheid om doel en middelen van de gegevensverwerking vast te stellen, anderzijds - in aanvulling daarop - van een functionele inhoud van het begrip (MvT, II, nr. 3, blz. 55; idem nr. 3, blz. 16). In de publieke sector geldt het krachtens het geldende staats- en bestuursrecht bevoegde bestuursorgaan als de verantwoordelijke (MvT, II, nr. 3, blz. 57). B&W zijn verantwoordelijk voor de juiste uitvoering van de bijstandswet. Zij beoordelen wanneer er niet wordt voldaan aan de eisen die de wet stelt aan betrokkenen (bijvoorbeeld het niet voldoen aan de inlichtingenplicht). B&W onderzoeken de juistheid en volledigheid van de verkregen gegevens en stellen zonodig een onderzoek in naar andere gegevens die noodzakelijk zijn voor de verlening dan wel de voorzetting van de uitkering. Fraude van een beperkte omvang wordt administratiefrechtelijk afgedaan. Naar zware fraude, vallend onder de frauderichtlijn van het Openbaar Ministerie (OM), wordt een strafrechtelijk onderzoek ingesteld. Duidelijk is dat het doel en middelen voor het administratiefrechtelijk traject uitsluitend door B&W worden bepaald. Dit betekent dat B&W in elk geval zoverre als verantwoordelijke in de zin van de WBP worden beschouwd. Bij het vaststellen wie verantwoordelijke is voor het strafrechtelijk traject liggen de zaken wat minder eenvoudig. Voorop blijft staan dat B&W de middelen vaststelt. Buitengewone opsporingsambtenaren zijn immers in dienst bij de gemeente, de gemeente verzorgt de huisvesting en vraagt de opsporingsbevoegdheid bij de Minister van Justitie aan. Voor wat betreft het bepalen van het doel van verwerking ligt de zaak gecompliceerder gelet op het feit dat ook het OM hierin een rol vervult. De Officier van Justitie is immers belast met de opsporing van strafbare feiten en geeft daartoe bevelen aan de overige personen met de opsporing belast. Dit betekent dat buitengewone opsporingsambtenaren voor wat betreft het strafrechtelijk onderzoek onder het gezag van de Officier van Justitie vallen (gezagsrelatie). BLAD 3
Het is van belang om de begrippen gezag en verantwoordelijke niet met elkaar te verwarren. Een gezagsrelatie is niet gelijk te stellen met verantwoordelijkheid in de zin van de WBP. Dit punt is duidelijk naar voren gekomen tijdens de parlementaire behandeling van de Wet politieregisters (Wpolr). Hierbij geldt ook dat de politie in een gezagsrelatie staat tot de Officier van Justitie of de betreffende burgemeester. De wetgever heeft er in de Wpolr echter duidelijk voor gekozen om de verantwoordelijkheid voor het beheer van de politieregisters steeds bij de korpsbeheerder te leggen (zie TK, 1988-1989, 1989, nr 11, blz. 15). Een zelfde situatie doet zich voor bij andere opsporingsdiensten zoals bijvoorbeeld de Fiscale inlichtingen en opsporingsdienst (FIOD). Opsporingsambtenaren staan onder gezag van het OM maar de verantwoordelijkheid voor het gegevensbeheer blijft bij de eigen organisatie liggen c.q. het bestuursorgaan waaronder deze organisatie ressorteert. In het licht van het bovenstaande stelt het CBP zich op het standpunt dat B&W verantwoordelijke zijn in de zin van de WBP voor de gegevensverwerking door de sociale recherche in het strafrechtelijke traject. Het CBP heeft de melding Strafrechtelijk onderzoek door Sociale Recherche van de gemeente Utrecht ontvangen. Het gaat er daarmee vanuit dat de gemeente Utrecht hiermee het standpunt van het CBP volgt. Protocol en werkinstructies Het CBP heeft kennisgenomen van het Protocol VII, Waarnemingen. Het Protocol heeft alleen betrekking op het doen van waarnemingen (administratief onderzoek). Het Protocol heeft geen betrekking op het doen van observaties (strafrechtelijk onderzoek). Het CBP is van oordeel dat de werkwijze beschreven in het Protocol op een aantal terreinen geconcretiseerd moet worden. Uit het gesprek op 5 september jl. is gebleken dat veel waarborgen voor een zorgvuldige omgang met persoonsgegevens momenteel impliciet in de werkwijze van medewerkers verankerd zijn. Het is echter noodzakelijk om deze waarborgen te expliciteren in werkprocessen. Dit moet tenminste gebeuren voor de hierna te noemen onderwerpen Informatieplicht Uit de schriftelijke antwoorden op de vragen die het CBP in het kader van het voorafgaand onderzoek heeft gesteld kwam naar voren dat de betrokkene slechts geïnformeerd wordt over de via WTP verkregen gegevens als gebleken is dat er vermoedelijk sprake is van fraude. Wanneer er geen fraude werd geconstateerd zou de betrokkene niet geïnformeerd worden. Men zou volstaan met het opnemen van het eindrapport in het dossier. Uit het op 5 september 2002 gevoerde gesprek met de gemeente Utrecht kwam echter naar voren dat de betrokkene in de praktijk in vrijwel alle gevallen achteraf op de hoogte wordt gesteld van de waarneming ter plaatse. Het CBP beveelt aan om in werkprocessen aan te geven welke regels gelden voor het informeren van betrokkenen na WTP. BLAD 4
Rechten van de betrokkene Utrecht geeft in de schriftelijke reactie op de vragen die het CBP in het kader van het voorafgaand onderzoek heeft gesteld aan dat wijzigingen en aanvullingen van de gegevens niet mogelijk zijn omdat deze betrekking hebben op de zintuiglijke waarnemingen van de controleambtenaar en daarmee uniek zijn. Tijdens het gesprek van 5 september jl. bleek echter dat een betrokkene in de praktijk met deze bevindingen geconfronteerd wordt en de gelegenheid krijgt zijn zienswijze hier tegenover te stellen. Het CBP onderstreept de noodzaak om deze werkwijze op te nemen in de werkprocessen. Toegang tot de gegevens/doelbinding/noodzakelijkheid In werkprocessen moet duidelijk worden vastgelegd wie toegang heeft tot welke gegevens. Dit onderwerp is reeds behandeld onder het kopje Melding 2: strafrechtelijk. Het CBP verzoekt u de te hanteren regels uit te werken in werkprocessen. Conclusie Het CBP is van mening dat de door u gemelde gegevensverwerkingen Strafrechtelijk onderzoek door Sociale recherche (m1062177) en Uitkeringsverstrekking ingevolge Abw, IOAW, IOAZ, WIK en WVG; onderdeel WTP (m1016542) in beginsel rechtmatig zijn met inachtneming van het bovengenoemde. Indien u het niet eens bent met deze verklaring, kunt u hiertegen ingevolge de Algemene wet bestuursrecht binnen zes weken schriftelijk bezwaar maken bij het CBP. Verdere informatie vindt u in het informatieblad over het voorafgaand onderzoek dat u eerder is toegestuurd. Ik vertrouw er op u hiermee voldoende te hebben geïnformeerd. Hoogachtend, mr. P.J. Hustinx voorzitter BLAD 5